Cyber ·
CVE-2026-123779: Apache Axis2/Java não aplica exposeServiceMetadata em todas as rotas de metadados
Alerta de gravidade baixa sobre o Apache Axis2/Java anterior à 2.0.2: a configuração exposeServiceMetadata não cobre algumas rotas de arquivos WSDL e XSD, permitindo acesso direto a metadados de serviços desativados.
Em 6 de novembro, Robert Lazarski publicou no feed da lista oss-sec um aviso sobre o Apache Axis2/Java. Segundo o texto, nas versões anteriores à 2.0.2 a configuração exposeServiceMetadata era aplicada apenas às consultas ?wsdl, ?wsdl2 e ?xsd. Para um serviço que a tivesse desativado, continuavam acessíveis os arquivos .wsdl e .xsd incluídos no pacote, a rota ?wsdl=NAME para WSDL nomeado no servidor HTTP autônomo, e outras rotas que o trecho disponível não detalha. O aviso classifica a gravidade como baixa e descreve a falha como requisição direta (forced browsing). A versão corrigida citada é a 2.0.2.
A relevância para organizações é a exposição de descrições de serviços que deveriam estar ocultas. Essa informação pode facilitar o reconhecimento de uma superfície de ataque, mas o aviso não descreve execução de código nem vazamento de dados de negócio. Quem usa Axis2 deve verificar a versão instalada e, se for anterior à 2.0.2, planejar a atualização. Como a fonte original é uma tradução automática, a leitura técnica deve ser conferida no texto de origem e nos comunicados do projeto Apache.
A Rota Nacional não corrige bibliotecas de terceiros nem substitui a atualização de servidores internos. Não há capacidade da plataforma que trate esta falha. Para estudar o aviso com IA, não cole nomes de serviços internos, endereços ou credenciais na ferramenta; use apenas o texto público.